安全研究人員發現 ,掌控全球44%的國際航空訂票業務的線上訂票系統Amadeus存在作業上的漏洞,數百萬旅客的資料面臨外洩與被竄改的風險。

Amadeus是全球最大線上航空訂票系統之一,擁有141家航空公司客戶,包括聯合航空、加拿大航空、法航、英航、漢莎航空及以色列航空等。白帽駭客及安全研究人員Noam Rotem在以色列航空訂位後接到Amadeus 系統寄來的電子郵件,當中包含可檢視乘客訂位紀錄代號(personal name record, PNR)的連結 https://fly.elal.co.il/LOTS-OF-NUMBERS-HERE

駭客只需變更網址上的RULE_SOURCE_1_ID即可檢視所有客戶姓名、PNR和相關的飛航資訊,如電話、住家地址等。

PNR是一組6碼字母和數字組成的乘客訂位記錄,它和航空公司的訂位代號都可以用來查詢或取消訂位。

只要擁有旅客名字及PNR,即能登入這家網站航空公司的入口網站變更資料、兌換飛行常客的累積哩程到個人帳號、選定座位和餐點、更新客戶的電子郵件和電話號碼。

雖然要對航空旅客資料動手駭客得先取得PNR code,但Rotem表示其實管道很多,例如以色列航空以未加密信件傳送PNR code,還有不少人甚至將登機證照片大喇喇貼在臉書或推特, 上面都可以看到PNR。

研究人員在以色列航空公司網站上做了一些測試,發現根本沒有防止暴力破解的防護,使他們可任意尋找任何人的PNR及旅行帳戶資訊。他們隨後將問題通報以色列航空將漏洞修補。

同樣的漏洞自然也影響所有Amadeus系統的141家航空公司。研究人員建議加入captcha、以密碼取代PNR code,或使用線上機器人做存取防護,以免駭客暴力破解帳密。

Amadeus已在通報後於本周稍早修補了該漏洞,加入Recovery PTR(Passenger Traffic Resolutions)防止任何惡意用戶存取旅客個人資訊。該公司也為此致歉。


Advertisement

更多 iThome相關內容